如何终止Linux异常进程 kill和killall命令区别使用-linux运维-PHP中文网

处理异常进程应优先使用kill发送sigterm信号，无效时再用kill -9或killall；1. kill通过pid精准终止单个进程，适合处理单一异常进程；2. killall根据进程名批量终止，适用于同名多个进程但需防误杀；3. 首选sigterm（15）让进程优雅退出，保留清理资源机会；4. sigkill（9）强制终止进程，无清理机会，仅作最后手段；5. 识别异常需结合top查看cpu/内存占用、ps查看进程状态（d/z）、日志分析及netstat检查网络连接；6. 其他信号如sighup可重启配置，sigstop/sigcont用于暂停与恢复；7. 安全终止需确认pid、避免killall通用名、检查父进程关系、使用pkill精准匹配，并始终先尝试温柔终止再强制处理，防止误操作导致系统故障。

如何终止Linux异常进程 kill和killall命令区别使用

在Linux系统里，处理那些不听话的、异常的进程，我们通常会用到

kill

登录后复制

和

killall

登录后复制

这两个命令。简单来说，

kill

登录后复制

更像是外科手术，精准打击某个特定进程ID（PID），而

killall

登录后复制

则像是一次区域清扫，根据进程名称批量处理。它们都是用来发送信号给进程，让它们终止运行，但选择哪个，就看你面对的是一个顽固的个体，还是一群同名的小妖。

解决异常进程，核心在于理解进程信号。Linux进程的生命周期，很大程度上是由各种信号来管理的。当你执行

kill

登录后复制

或

killall

登录后复制

时，实际上是向目标进程发送了一个信号。最常用的信号是

SIGTERM

登录后复制

（15）和

SIGKILL

登录后复制

（9）。

```
SIGTERM
```
登录后复制
是默认信号，它告诉进程“请你优雅地退出吧”。进程收到这个信号后，有机会保存数据、关闭文件句柄，然后干净地退出。这是首选的温柔方式。
```
SIGKILL
```
登录后复制
则完全不同，它是“强制终止”，进程收到这个信号后会立即被操作系统杀死，没有商量的余地，也不会给进程任何清理的机会。这可能导致数据丢失或文件损坏，所以是最后的手段。

使用

kill

登录后复制

命令：

kill

登录后复制

命令需要你明确知道进程的PID。通常，你会先用

ps aux | grep [进程名]

登录后复制

或者

pgrep [进程名]

登录后复制

来查找PID。

示例： 假设你发现一个名为
```
my_app
```
登录后复制
的程序卡住了，通过
```
ps aux | grep my_app
```
登录后复制
查到它的PID是12345。
- 温柔终止：
```
kill 12345
```
  登录后复制
  (默认发送SIGTERM)
- 强制终止：
```
kill -9 12345
```
  登录后复制
  (发送SIGKILL) 我个人在使用
```
kill
```
  登录后复制
  的时候，总是习惯先不加
```
-9
```
  登录后复制
  ，给它一个机会体面退出。如果几秒钟后进程还在，那才会考虑
```
kill -9
```
  登录后复制
  。毕竟，谁也不想粗暴地中断一个可能正在执行重要操作的程序。

使用

killall

登录后复制

命令：

killall

登录后复制

则简单粗暴得多，它根据进程的名称来终止所有匹配的进程。

示例： 如果你的系统里跑了多个
```
nginx
```
登录后复制
进程，你想把它们全部停掉。
- 温柔终止：
```
killall nginx
```
  登录后复制
- 强制终止：
```
killall -9 nginx
```
  登录后复制
```
killall
```
  登录后复制
  的便利性在于，你不需要逐个查找PID。但它的风险也显而易见：如果你不确定有多少个同名进程，或者其中有你不希望终止的，那么
```
killall
```
  登录后复制
  可能会造成意想不到的后果。比如，如果你有多个
```
python
```
  登录后复制
  脚本在运行，而你只想停掉其中一个，那么
```
killall python
```
  登录后复制
  显然不是个好主意。这种时候，
```
kill
```
  登录后复制
  的精准性就显得尤为重要。

在实际操作中，我经常会先用

pgrep -l [进程名]

登录后复制

来确认一下到底有多少个同名进程，以及它们的PID是什么，这样心里就有数了。然后再决定是用

kill

登录后复制

还是

killall

登录后复制

。

为什么进程会“异常”？如何识别它们？

进程为什么会“异常”？这问题其实挺复杂的，但归根结底，无非是资源耗尽、死锁、程序bug、或者外部环境变化导致它无法正常响应。

魔乐社区

天翼云和华为联合打造的AI开发者社区，支持AI模型评测训练、全流程开发应用

102

查看详情

资源耗尽： 比如一个程序写了个无限循环，或者内存泄漏，它就会不断地吃CPU或内存，最终导致系统响应缓慢甚至卡死。我遇到过几次后台服务因为日志文件写满硬盘，导致整个应用假死的情况，这其实也是一种资源耗尽。
死锁： 多个进程或线程互相等待对方释放资源，谁也动不了，就僵在那里了。这种情况在并发编程里比较常见，调试起来也挺头疼的。
程序bug： 最常见的原因，代码逻辑错误导致进程进入一个无法退出的状态，或者崩溃后没有正确清理。
外部环境变化： 比如依赖的服务挂了，或者网络断了，进程可能没有做好异常处理，就一直卡在等待状态。

识别异常进程，通常我会关注以下几个指标：

CPU占用率： 用
```
top
```
登录后复制
或
```
htop
```
登录后复制
命令，看看哪个进程长期占用高CPU。如果一个后台服务平时不怎么吃CPU，突然飙到90%以上，那它就很可疑了。
内存占用： 同样在
```
top
```
登录后复制
或
```
htop
```
登录后复制
里看，内存（RES或VIRT）持续增长，或者占用量远超预期，可能是内存泄漏。
进程状态：
```
ps aux
```
登录后复制
输出的
```
STAT
```
登录后复制
列也很关键。
```
D
```
登录后复制
（不可中断睡眠）通常意味着进程在等待I/O，如果长时间处于这个状态，可能是I/O阻塞。
```
Z
```
登录后复制
（僵尸进程）表示子进程已经结束但父进程没有回收资源，虽然僵尸进程本身不消耗CPU和内存，但过多会占用PID，影响系统。
日志： 程序的日志文件是排查问题的金矿。异常进程往往会在日志里留下蛛丝马迹，比如错误信息、警告或者堆栈跟踪。
网络连接： 对于网络服务，
```
netstat -tulnp
```
登录后复制
可以看看进程监听了哪些端口，是否有大量TIME_WAIT或CLOSE_WAIT连接，这可能预示着网络连接问题。

这些观察点，结合起来就能大致判断一个进程是不是“异常”了。

进程终止的信号机制：不仅仅是SIGTERM和SIGKILL

谈到进程终止，信号机制是核心。除了最常用的

SIGTERM

登录后复制

（15）和

SIGKILL

登录后复制

（9），Linux系统提供了几十种信号，每种都有其特定用途。理解这些信号，能让你在处理进程时有更细致的控制。

SIGHUP
登录后复制
(1): 这个信号最初是用于终端断开连接时通知进程的。现在，它常用于让守护进程（daemon）重新加载配置文件而不必完全重启。很多服务，比如Nginx、Apache，收到
```
SIGHUP
```
登录后复制
后会重新读取配置，这比直接
```
kill
```
登录后复制
然后重启要优雅得多，服务不会中断。
SIGINT
登录后复制
(2): 中断信号，通常由Ctrl+C触发。它和
```
SIGTERM
```
登录后复制
类似，也是请求进程优雅退出。对于大多数交互式程序，这是用户主动停止程序的常用方式。
SIGQUIT
登录后复制
(3): 退出信号，通常由Ctrl+\触发。它和
```
SIGINT
```
登录后复制
类似，但通常会生成一个核心转储（core dump）文件，方便开发者调试程序崩溃的原因。
SIGSTOP
登录后复制
(19) 和
SIGCONT
登录后复制
(18):
```
SIGSTOP
```
登录后复制
会暂停一个进程的执行，但不会终止它。进程会保持在内存中，CPU等资源暂时释放。
```
SIGCONT
```
登录后复制
则让暂停的进程继续执行。这在调试或者临时需要释放资源时非常有用。比如，你有一个计算量很大的脚本在运行，但临时需要系统资源去做别的事情，可以先
```
kill -19 [PID]
```
登录后复制
暂停它，等忙完了再
```
kill -18 [PID]
```
登录后复制
让它继续。
SIGSEGV
登录后复制
(11): 段错误，当程序试图访问它无权访问的内存区域时发生。这是一个严重的错误，通常会导致程序崩溃。

信号机制的强大之处在于，进程可以捕获并处理除了

SIGKILL

登录后复制

和

SIGSTOP

登录后复制

之外的所有信号。这意味着程序开发者可以编写代码来响应这些信号，例如在收到

SIGTERM

登录后复制

时保存当前工作，或者在收到

SIGHUP

登录后复制

时重新加载配置。这也就是为什么我们总是推荐先尝试

SIGTERM

登录后复制

，因为它给了程序一个“自救”的机会。只有当进程对

SIGTERM

登录后复制

无动于衷时，

SIGKILL

登录后复制

才是最后的杀手锏。

避免误杀：如何安全地终止进程？

“误杀”在Linux进程管理中可不是闹着玩的，尤其是在生产环境。一个不小心，可能就导致服务中断，甚至数据丢失。所以，安全地终止进程，比知道怎么终止更重要。

确认PID： 永远、永远先确认你要终止的进程的PID。
```
ps aux | grep [进程名]
```
登录后复制
是我的第一步。但我会更倾向于使用
```
pgrep -l [进程名]
```
登录后复制
，因为它只输出PID和进程名，结果更干净，减少了误读的可能。如果一个进程有多个实例，
```
pgrep
```
登录后复制
会列出所有PID，这样你就可以选择性地
```
kill
```
登录后复制
某个特定的实例。
检查父进程： 有时候，一个异常的子进程可能是由某个重要的父进程启动的。在终止子进程之前，用
```
pstree -p [PID]
```
登录后复制
或者
```
ps -ef --forest
```
登录后复制
看看进程树，确认你终止的只是那个异常的个体，而不是整个服务链条。
避免使用
killall
登录后复制
处理通用名称：比如，如果你想终止一个名为
```
my_script.py
```
登录后复制
的Python脚本，直接
```
killall python
```
登录后复制
是非常危险的，因为系统里可能有其他重要的Python程序在运行。这种情况下，最好是
```
ps aux | grep my_script.py
```
登录后复制
找到PID，然后
```
kill
```
登录后复制
它。
先温柔，后强硬： 总是先尝试
```
kill [PID]
```
登录后复制
（发送SIGTERM）。给进程几秒钟时间去响应和清理。如果无效，再使用
```
kill -9 [PID]
```
登录后复制
。这个习惯能大大降低因强制终止导致数据损坏的风险。
使用
pkill
登录后复制
的精准匹配：
```
pkill
```
登录后复制
命令结合了
```
pgrep
```
登录后复制
和
```
kill
```
登录后复制
的功能，可以直接根据名称、用户、终端等条件发送信号。它比
```
killall
```
登录后复制
更灵活，可以通过正则表达式进行更精确的匹配。例如，
```
pkill -f "my_app_v2"
```
登录后复制
可以匹配包含特定字符串的进程命令行。这比
```
killall
```
登录后复制
只匹配进程名要安全得多。
权限问题： 你只能终止你拥有或有权终止的进程。尝试终止root用户的进程通常需要
```
sudo
```
登录后复制
。但使用
```
sudo
```
登录后复制
时，务必加倍小心，因为你拥有了几乎无限的权力。